Безопасность
Тема дорожной карты · Elasticsearch
Безопасность Elasticsearch охватывает полный набор механизмов защиты данных поискового движка от несанкционированного доступа: шифрование TLS для транспортного и HTTP-уровней, реалмы аутентификации, управление доступом на основе ролей, а также ограничения на уровне полей и документов. Начиная с Elasticsearch 8.0, функции безопасности включены по умолчанию: новый кластер автоматически генерирует самоподписанные TLS-сертификаты, создаёт суперпользователя elastic с автоматически сгенерированным паролем и отклоняет HTTP-соединения без учётных данных. Настройка безопасности в Elasticsearch выполняется преимущественно через elasticsearch.yml (для включения TLS и указания пути к сертификатам) и пространство имён REST API _security (для управления пользователями, ролями и API-ключами). Безопасность Elasticsearch также включает аутентификацию по API-ключам (POST /_security/api_key), которая является предпочтительным типом учётных данных для программного доступа, поскольку ключи можно ограничивать по области применения, ротировать и отзывать без изменения паролей пользователей. Регулярный аудит событий безопасности с помощью функции журналирования аудита Elasticsearch, записывающей значимые события безопасности в отдельный файл журнала, необходим для соответствия требованиям в регулируемых отраслях.
Как это работает
Безопасность: built-in security (бесплатно с 7.x): аутентификация (native realm, LDAP, SAML, OIDC, Kerberos), TLS encryption (transport + HTTP — обязателен с 8.x по дефолту), RBAC (built-in + custom roles), Document/Field-level security (ограничивают, какие поля юзер может читать). API keys для service-to-service auth. Audit logs для compliance. Без security ES wide open — любой с network access читает/пишет.
Когда применять
Включайте security с первого дня — 8.x делает on-by-default, не выключайте. API keys для app-to-ES auth (не пароли). TLS на transport (inter-node) + HTTP — нетривиальный certificate setup но обязателен для prod. Field-level security для PII handling. Audit logs для удовлетворения compliance.
Типичные ошибки
Ловушки Безопасность: ES в интернете без security (ransomware за день); elastic superuser везде (rotate + scoped API keys); HTTP-only внутри кластера (eavesdropping); нет мониторинга failed auth attempts.